1. 主页 > 财经

谷歌端口扫描安全漏洞可继续执行任一标识符 捂好你的身份验证手提包


欧易(OKX)交易所 - 全球顶尖数字货币交易平台

注册立即 领取价值高达 6,0000 元的数字货币盲盒,邀请码:vip1234,享受 20%手续费减免。

欧易注册 APP下载

近日,GoogleOffice中两个被称为 "Follina "的端口扫描安全漏洞(序号CVE-2022-30190)被发现。普通使用者可采用Google的Google全力支持确诊辅助工具(MSDT),从远距URL索引并竭尽全力执行蓄意软件。GoogleOffice的系列组件和采用MSDT的产品目前仍有可能受于端口扫描安全漏洞的负面影响。

Google在其公告中写道:" 当从 Word 等初始化应用程序采用 URL 协议初始化 MSDT 时,存在远距程序竭尽全力执行安全漏洞。成功利用此安全漏洞的普通使用者能采用初始化应用程序的职权运转任一标识符。然后普通使用者能旧版本、查阅、更动或删掉统计数据,或是在使用者职权容许的语句中创建新账号 "。

由于该安全漏洞容许普通使用者绕开身份验证,从而远距安装文件格式,或是查阅、更动及删掉统计数据,因此也被讥讽为“极点击远距程序竭尽全力执行控制技术”。总体而言,普通使用者能在运转使用者职权容许的范围内,透过发送两个GoogleWord文件格式,在你关上文件格式或在 "自动更新 "中查阅文件格式的一瞬间竭尽全力执行蓄意软件,并在最终目标控制系统上远距竭尽全力执行蓄意软件。

透过此种方式,骇客能查阅并赢得被害者的控制系统和个人隐私。这个端口扫描安全漏洞容许骇客进一步反击,提升骇客在被害者控制系统里的职权,并赢得对本地控制系统和运转进程的额外访问,包括最终目标使用者的互联网应用程序和应用程序应用程序,如Metamask - 两个用于储存身份验证资金的软件手提包。

这样的安全漏洞表明了使用者采用硬体手提包(如Ledger、Trezor等)app储存公钥的重要性,即使它可将公钥与被反击的控制系统分开。忽视采用硬体手提包,是端口扫描安全漏洞引致身份验证流动资产失窃的主要原因之一。

此种类别的安全漏洞在Web3世界中能说是非常“盛行”,每个月可引致数百亿美元的经济损失。类似的反击已经负面影响到Web3社区,而这个安全漏洞比 "0-click "(极点击反击)安全漏洞更严重。例如,出现在2022年3月22日的Arthur_0x骇客反击,引致超过160亿美元的NFT和身份验证货币经济损失。它采用了有前瞻性的互联网钓反击控制技术,透过B110了看起来像Google文件格式的镜像(但实际上是GoogleWord文件格式),将蓄意软件注入被害者的控制系统。另两个采用了有前瞻性的互联网钓反击的例子出现在2022年2月19日,当市场参与者关上他们认为是OpenSea官方的关于迁移的电子邮件时,商业价值170亿美元的ETH失窃走,引致蓄意软件透过隐藏在佯装镜像中的蓄意合同被放进他们的手提包。

互联网钓反击是普通使用者可赢得高商业价值,且操作相对简单的一种反击方法。随著Web3使用者能即刻直接地进行资产交易,互联网钓活动也随之增加。特别是Telegram和Discord相关的反击,蓄意镜像每天单厢出现在盛行的伺服器上。而随著Web3的发展,这些类别的反击将竭尽全力增长,即使它效率高且科学性强,普通使用者能适应各种防御手段,以竭尽全力进行反击。lat是什么币

如果你目前正在采用Google的Office,CertiK安全团队建议按照以下镜像的关键步骤,正确保护你的设备和个人隐私。(来源Google全力支持确诊辅助工具安全漏洞的指导意见Guidance for Microsoft Support Diagnostic Tool Vulnerability)

能防止反击的一些方法关键步骤:

遵循最小职权原则,只给Windows使用者分配完成其职责所需的职权。反过来,这也限制了普通使用者在控制系统被破坏时继承的职权。

在采用Google卫士的ASR时,在阻止模式下激活 "阻止所有Office应用程序创建子进程 "规则。

在审计模式下运转该规则,并监测结果,以确保对最终使用者没有不利负面影响。

删掉有关ms-msdt的文件格式类别,防止蓄意软件运转。

版权声明:本文内容由互联网使用者贡献,该文观点仅代表作者本人。本站不拥有所有权,不承担相关法律责任。如发现有侵权/违规的内容, 请联系我们QQ:8136336,本站将立刻清除。

本文来自网络,不代表币圈之家立场,如有侵权请联系我们删除,转载请注明出处:https://www.110btc.com/finance/22729.html

联系我们

在线咨询:点击这里给我发消息

微信号:AB100082

工作日:9:30-18:30,节假日休息